Projet de guide de l’ASN et de l’IRSN relatif aux exigences de sûreté et recommandations pour la conception de réacteurs à eau sous pression

Commentaire conjoint EDF/AREVA NP

Commentaire technique majeur

Commentaire identique à 5.2.4.2,  adapté au CSP

Proposition de modification:

En application de l’article 5.2.5.1 et du principe de défense en profondeur mentionné au chapitre II.2.1, des dispositions sont notamment mises en oeuvre pour limiter les conséquences de la rupture des tuyauteries secondaires principales.

Le recours à l'hypothèse d'exclusion de rupture ne peut être envisagé que pour ces tuyauteries et nécessite des éléments  :

·        démontrant que les dispositions de conception, de fabrication et de surveillance en service sont telles que la rupture peut être considérée comme extrêmement improbable avec un haut degré de confiance. À ce titre, les recommandations de l’article 5.2.3.1 s’appliquent à ces dispositions ;

·      démontrant que les effets hydrodynamiques significatifs sont évités (coups de bélier, érosion) et que les points fixes sont aussi proches que possible des traversées de l’enceinte de confinement ;

·      justifiant que ce choix est raisonnable compte tenu des avantages et inconvénients qu’il apporte au niveau de sûreté global de l’installation et à la radioprotection.

Le recours à cette hypothèse étant un choix structurant, ses modalités d'application devront être instruites et approuvées à un stade précoce de la conception.

En tout état de cause, par convention, le débit massique équivalent à une rupture doublement débattue d’une tuyauterie secondaire principale est retenu pour la conception de l’enceinte de confinement et la qualification des équipements dans l’enceinte, en utilisant des hypothèses, modèles et critères appropriés.

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

Les structures internes de la cuve du réacteur et de l’enceinte de confinement ne sont pas les seules concernées, il faut ajouter celles des autres composants primaires que sont les générateurs de vapeur et les pompes primaires.

Proposition de modification:

Dans le cas où la rupture d’une tuyauterie primaire principale pourrait être considérée comme « exclue », alors les chargements à prendre en compte pour le dimensionnement  des structures internes des composants primaires (cuve du réacteur, générateurs de vapeur, pompes primaires) et des structures internes à l’enceinte de confinement sont ceux résultant d'une rupture équivalente à la rupture guillotine complète de la plus grosse tuyauterie connectée à une tuyauterie primaire principale.

Commentaire conjoint EDF/AREVA NP

Commentaire technique majeur

L’hypothèse Exclusion de Rupture introduite dans les Directives Techniques et déclinée dans la conception du réacteur EPR de Flamanville 3 repose sur la doctrine suivante : les conséquences de la rupture guillotine de la tuyauterie principale en exclusion de rupture ne sont plus à retenir à la conception, à l’exception de la vérification du dimensionnement du système d’injection de sécurité et de l’enceinte de confinement, ainsi que pour les supportages des gros composants et  la qualification des équipements dans l’enceinte.

La dernière phrase de l’article 5.2.4.2 modifie significativement cette doctrine en introduisant la prise en compte de la rupture guillotine de la tuyauterie principale en exclusion de rupture sur « les EIP essentiels à la démonstration de sûreté nucléaire », ce qui revient à réintroduire cette rupture dans le dimensionnement général de l’installation (le système d’injection de sécurité et l’enceinte de confinement n’étant cités qu’en tant qu’exemples d’EIP). La différence par rapport à une conception sans hypothèse d’exclusion de rupture serait alors limitée à l’utilisation d’hypothèses appropriées.

Nous proposons de reconduire l’hypothèse d’exclusion de rupture selon la doctrine des Directives Techniques, élément de base de la conception du réacteur EPR.

Commentaire éditorial mineur

Voir commentaire 5.2.4.1

Proposition de modification:

L’hypothèse «d’exclusion de rupture» consiste dans son principe à ne pas traiter les conséquences de la rupture d’une tuyauterie parce que la rupture peut être considérée comme extrêmement improbable avec un haut degré de confiance. Le recours à l'hypothèse d'exclusion de rupture ne peut être envisagé que pour les tuyauteries primaires principales et nécessite des éléments :

·         démontrant que les dispositions de conception, de fabrication et de surveillance en service sont telles que la rupture peut être considérée comme extrêmement improbable avec un haut degré de confiance. À ce titre, les recommandations de l’article 5.2.3.1 s’appliquent à ces dispositions ;

·      justifiant que ce choix est raisonnable compte tenu des avantages et inconvénients qu’il apporte au niveau de sûreté global de l’installation et à la radioprotection.

Le recours à cette hypothèse étant un choix structurant, ses modalités d’application devront être instruites et approuvées à un stade précoce de la conception.

En tout état de cause, par convention, le débit massique équivalent à une rupture doublement débattue de la tuyauterie primaire principale est retenu pour la conception du système d’injection d’eau de secours du cœur et de l’enceinte de confinement ainsi que pour la qualification des équipements dans l’enceinte en utilisant des hypothèses, modèles et critères appropriés. La rupture doublement débattue de la tuyauterie primaire principale est également retenue pour la conception des supportages des gros composants.

Commentaire conjoint EDF/AREVA NP

Commentaire éditorial mineur

Proposition de rédaction pour clarification : report du début de l’article 5.2.4.2 en 5.2.4.1 (voir modification proposée pour 5.2.4.2).

Proposition de modification:

En application du principe de défense en profondeur mentionné au chapitre II.2.1, des brèches sur les tuyauteries du circuit primaire et des circuits connectés sont retenues comme des EIU dans la démonstration de sûreté nucléaire et des dispositions sont mises en œuvre pour en limiter les conséquences.

Par convention, les analyses mécaniques du CPP considèrent le cumul quadratique des effets des ruptures de tuyauteries primaires postulées dans le domaine de conception de référence et du séisme de référence.

Commentaire conjoint EDF/AREVA NP

Commentaire technique majeur

Les critères mécaniques définis par les codes de conception mécanique intègrent déjà des marges. Exiger des « marges significatives par rapport aux critères mécaniques » revient à questionner les critères portés par les codes de conception mécanique qui font pourtant l’objet d’une reconnaissance par l’ASN/IRSN (RCC-M) voire d’une reconnaissance internationale (ASME). Par ailleurs, le caractère significatif est trop subjectif.

Proposition de modification:

Une démarche d’exclusion du risque de rupture des gros composants du CPP et des CSP est mise en oeuvre. En effet, aucune disposition raisonnable de limitation des conséquences de leur rupture, en tant qu’événement déclencheur, ne pourrait être définie. Ces composants sont dits « non-ruptibles ».

Cette démarche repose sur des dispositions particulièrement exigeantes en matière de conception, de fabrication et de suivi en service visant à prévenir la rupture. Elles concernent :

·       l’analyse des modes d’endommagement pertinents, l’utilisation de matériaux présentant une résistance suffisante à ces modes d’endommagement, la détermination des sollicitations subies, y compris en cas de survenue d’une agression et la vérification du respect de critères permettant de prévenir les risques de rupture ;

·       le recours à des procédés de fabrication et de contrôle permettant de démontrer l’obtention d’un très haut niveau de qualité tenant compte, conformément au point 4 des remarques préliminaires de l’annexe 1 au décret n° 99-1046 du 13 décembre 1999 relatif aux équipements sous pression, de l’ « état d’avancement de la technique et de la pratique au moment de la conception et de la fabrication, ainsi que des considérations techniques et économiques compatibles avec un degré élevé de protection de la santé et de la sécurité » ;

·    le suivi en service, permettant notamment de vérifier en temps utile l’absence de dégradation du composant.

Dans cette perspective, la détermination enveloppe de sollicitations subies, l’analyse du comportement des structures sous ces sollicitations, l’existence de marges par rapport aux critères mécaniques, la qualification des procédés de fabrication et les approvisionnements, le choix, l’étendue et la précision des techniques de contrôles au regard des procédés de fabrication, la détermination des critères d’acceptation des défauts de fabrication, l’accessibilité des zones à surveiller en exploitation, la prise en compte de l’expérience sur le comportement de matériaux ou d’installations similaires sont des moyens nécessaires à la mise en oeuvre de cette démarche.

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

Les textes réglementaires (décret du 13 décembre 1999 et arrêté du 10 novembre 1999) et les Directives Techniques sont aujourd’hui incohérents pour ce qui concerne la considération de l’arrêt automatique du réacteur pour les études de surpression :

-  le décret du 13 décembre 1999 autorise de considérer l’arrêt automatique du réacteur comme accessoire de sécurité

-  l’arrêté du 10 novembre 1999 limite les matériels valorisables en 3^ème catégorie au sens de l'arrêté du 10 novembre 1999 aux seuls accessoires de sécurité
. L’arrêt automatique n’en fait évidemment pas partie.

agissant par limitation directe de la pression

-  les Directives Techniques (section B2.3.7) autorisent la considération de l’arrêt automatique du réacteur pourvu que celui-ci bénéficie d’une fiabilité et d’une diversification similaires à celles des dispositions relatives à la protection du cœur.

Le Nota 26 annonce d’ailleurs une révision prochaine de l’arrêté du 10 novembre 1999. Cette révision devra permettre de lever l’incohérence notée.

Pour les besoins des projets industriels en cours, nous souhaitons disposer de visibilité quant au calendrier de cette révision.

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

Selon la rédaction initiale, on pourrait comprendre que l’insertion rapide des grappes d’arrêt du réacteur doit être assurée pour toutes les conditions DEC-A.

Or, pour les conditions DEC-A définies par l’absence d’AAR dû au blocage mécanique des grappes, cette insertion est impossible par définition même de ces conditions.

En conséquence, nous proposons d’exclure du périmètre d’application de la première puce de cet article les conditions DEC-A pour lesquelles l’insertion rapide des grappes d’arrêt du réacteur est postulée défaillante. 

Proposition de modification:

Les assemblages de combustible et les systèmes de refroidissement, de commande, de surveillance et de protection du coeur sont conçus en prévoyant des marges appropriées.

En particulier :

·   la conception des assemblages de combustible permet l’insertion rapide dans le cœur d’éléments absorbants mobiles (grappes), de manière à contribuer à la maîtrise des réactions nucléaires dans les conditions de fonctionnement de référence, dans les conditions DEC-A (hors celles postulant la défaillance de l’insertion des grappes) et lors des séismes de référence ;

·     structure des assemblages de combustible (tubes-guides, grilles, embouts…) ainsi que les gaines des combustibles sont conçues de manière à permettre le refroidissement du combustible dans le coeur, dans les conditions de fonctionnement de référence, dans les conditions DEC-A et lors des séismes de référence ;

·     le confinement des substances radioactives est en premier lieu assuré par l’intégrité de la première barrière.

Par ailleurs, les assemblages de combustible sont conçus pour conserver leur intégrité dans les situations d’entreposage, de transport et de manutention avant et après irradiation en réacteur. La présence possible en fonctionnement normal de quelques défauts de gainage est prise en compte dans la démonstration de la sûreté et pour les opérations relatives au combustible après son irradiation en réacteur. À cet égard, la conception du combustible limite autant que raisonnablement possible les pertes d’étanchéité en fonctionnement normal.

Commentaire conjoint EDF/AREVA NP

Commentaire éditorial mineur

Proposition de rédaction plus précise

L’ensemble des articles du code du travail qui sont cités seront modifiés lors de la publication, au premier semestre 2017, du décret modifiant la partie réglementaire du code du travail consacrée aux rayonnements ionisants, pris dans le cadre de la transposition de la directive BSS. Le Guide sera donc rapidement obsolète sur ce point.

Proposition de modification:

La conception vise notamment à permettre, en termes de radioprotection, la réalisation des actions humaines prévues dans les domaines de conception de référence et étendu, conformément aux objectifs de l’article R. 4451-10 du code du travail, de façon à contribuer à leur faisabilité requise au titre des articles 3.3.1.4.5, 3.3.2.3.2, 3.3.3.3.2 et 3.4.4.2.

Commentaire conjoint EDF/AREVA NP

Commentaire général mineur

L’article 4.4.2 demande que la conception de l’installation, vis-à-vis du risque d’exposition des travailleurs aux rayonnements ionisants, prenne en compte l’avancement de la technique et de la pratique au moment de la conception.

Il nous paraît indispensable de cadrer cette notion « d’avancement de la technique et de la pratique ». Appliquée au sens large, elle pourrait conduire à devoir appliquer à une installation industrielle des techniques / pratiques mises en œuvre dans un contexte autre que celui d’une installation industrielle de production d’électricité, par exemple, une installation de recherche. Nous estimons que cela pourrait nuire à l’objectif de niveau de sûreté élevé, en cas de techniques/pratiques insuffisamment robustes, matures, opérationnelles pour une application industrielle.

En conséquence, nous proposons que la notion soit cadrée, à l’identique de la notion de Meilleures Techniques Disponibles cadrée par l’Arrêté du 26 avril 2011 « techniques mises au point sur une échelle permettant de les appliquer dans le contexte du secteur industriel ou agricole concerné, dans des conditions économiquement et techniquement viables ».

Proposition de modification:

4.4.2 Au titre des dispositions prévues à l’article L. 593-42 du code de l’environnement et aux articles R. 4451-7 et R. 4451-10 du code du travail et afin de réduire autant que raisonnablement possible les expositions professionnelles des travailleurs aux rayonnements ionisants, la conception de l’installation prend en compte l’avancement de la technique et de la pratique au moment de la conception, en intégrant notamment des considérations techniques et économiques compatibles avec un niveau de sûreté élevé, et prévoit notamment :

·         des matériaux du circuit primaire et de ses circuits auxiliaires choisis de façon à limiter la formation de produits de corrosion et d’activation ;

·         des dispositions de conception permettant de limiter les concentrations localisées de substances radioactives dans les circuits ;

·         des dispositions permettant de réduire autant que possible le nombre et la durée des activités humaines dans les zones spécialement réglementées ou interdites définies à l’article R. 4451-20 du code du travail, en prenant notamment en compte l’aménagement des locaux, la facilité d’accès aux emplacements de travail, les conditions d’environnement de travail, le développement d’outils spécifiques et la téléopération ;

.    pour l’application de l’article L. 4121-2 du code du travail, un agencement approprié des structures, systèmes et composants qui contiennent des substances radioactives permettant, autant que possible, une réduction de la durée des interventions, la mise en place de protection radiologiques efficaces et, de préférence, permanentes et une distance raisonnable entre les intervenants et les sources de rayonnement.

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

Pour les EIP qui pourraient être soumis à l’impact d’un jet sous pression (suite à RTHE par exemple), la garantie des conditions de fonctionnement de l’EIP est assurée par des dispositions d’installation (EIP hors de la zone de jet ou protégé du jet) et non par la qualification de l’EIP sous jet.

Proposition de modification:

En application du II de l’article 2.5.1 de l’arrêté du 7 février 2012, les EIP font l’objet d’une qualification visant à garantir leur capacité à respecter leurs exigences définies pour les conditions dans lesquelles ils sont nécessaires. Ces conditions incluent les conditions liées à l’environnement (température, pression, humidité, irradiation, vibrations, phénomènes chimiques, interférence électromagnétique et toute combinaison plausible de ces facteurs), ainsi que les conditions liées au fluide véhiculé (fluide radioactif, eau chargée de particules, choc thermique).

Commentaire conjoint EDF/AREVA NP

Commentaire éditorial mineur

Proposition de précision

Proposition de modification:

Certaines défaillances uniques pourraient être exclues, notamment celles relatives à l’ouverture de certains clapets soumis à une forte différence de pression, au fonctionnement de certains équipements ne subissant pas de variations notables de chargement , ou à l’erreur de position détectable (i.e. information de position disponible en continu en salle de commande) d’un équipement mécanique ou électrique, sur la base de justifications appropriées tenant notamment compte :

·       des dispositions de conception et d’exploitation mises en oeuvre ;

·       d’une analyse du retour d’expérience d’exploitation ;

.     le cas échéant, pour les défaillances uniques actives, d’une analyse des conséquences de la défaillance menées avec des règles, méthodes ou hypothèses moins conservatives que celles retenues pour l’étude des conditions de fonctionnement de référence.

Commentaire conjoint EDF/AREVA NP

Commentaire éditorial mineur

Nous proposons de déplacer la phrase sur les barillets au début de l’article afin de clarifier son statut (prise en compte dans les études de référence et non pas comme étude de sensibilité) et de rajouter une précision correspondant aux pratiques usuelles, i.e. la défaillance unique s’applique lorsque le système est sollicité pour la première fois au cours de l’événement et non pas sur un système qui était déjà en service avant l’occurrence de l’événement.

Proposition de modification:

La défaillance unique passive d’un EIP²⁴ (hors barillet) est postulée à long terme à partir de 24 heures après l’événement nécessitant le fonctionnement du système IP. Pour tout EIP de type barillet qui n’était pas en service avant l’événement nécessitant son fonctionnement, une fuite est postulée à court terme.

De plus, il est vérifié, par des études de sensibilité qu’une défaillance unique passive, soit postulée avant 24 heures, soit conduisant à une valeur de taux de fuite plus élevée que la valeur conventionnellement définie (jusqu’à la rupture d’une tuyauterie connectée d'un diamètre intérieur de 50 mm), n’entrainerait pas de conséquences plus importantes que celles résultant d’une défaillance unique active ou ne conduirait pas à un effet falaise en termes d’efficacité du système IP ou de conséquences radiologiques.

²⁴ Le concept de défaillance unique passive ne s’applique pas au CPP et aux CSP. 

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

Le recours à des équipements complètement indépendants pour gérer les situations affectant à la fois la piscine d’entreposage combustible et la chaudière ne conduit pas forcément à un gain sûreté, notamment vis-à-vis de l’autonomie de l’installation.

Par exemple, en cas de perte totale de la source froide ultime, une réserve en eau partagée offre une autonomie réelle supérieure à celle de deux réserves indépendantes de même volume total (la puissance ne peut être maximale dans le cœur et dans la piscine).

Nous proposons donc de préciser, par l’ajout d’une note de bas de page xx, que l’indépendance peut ne pas toujours être favorable.

Proposition de modification:

La présence de systèmes IP communs à un réacteur et à une piscine d’entreposage des assemblages de combustible :

·         ne remet pas en cause la mise à l’arrêt du réacteur, le refroidissement et l’évacuation de la chaleur résiduelle pour le réacteur et sa piscine d’entreposage dans les domaines de conception de référence et étendu ;

·         ne réduit pas l’autonomie des sources d’énergie électrique et d’eau de refroidissement de telle sorte que la situation du réacteur ou de sa piscine d’entreposage ne puisse plus être gérée.

Dans ce but, le recours à des systèmes indépendants est privilégié lorsque favorable^xx.

^xx L’indépendance entre EIP n’est pas toujours favorable : par exemple, une réserve en eau commune au réacteur et à sa piscine d’entreposage offre des avantages.

Commentaire conjoint EDF/AREVA NP

Commentaire technique majeur

La notion "autant que nécessaire", retenue pour caractériser le niveau d’indépendance des autres niveaux de défense en profondeur n’est pas retenue pour les moyens utilisés en DEC-B. Pour ce niveau (niveau 4 de la défense en profondeur), cette notion est remplacée par la notion plus exigeante "autant que raisonnablement possible" qui fait référence à une analyse "bénéfice/efforts".

Cet article nous semble aller au-delà des recommandations mêmes de WENRA (Safety of new NPP designs report – position 2) qui ne particularisent pas les requis d’indépendance des moyens DEC-B et qui présentent même des exceptions acceptables (alimentations électriques communes entre DEC-A et DEC-B).

Les cas de dépendance entre les moyens DEC-B et les moyens DEC-A qui ne sont pas acceptables sont ceux qui, en cas d’échec de ces moyens, conduisent à des rejets importants ou précoces. Selon l’article 2.1.2.3, ces situations doivent être rendues physiquement impossibles, ou à défaut extrêmement peu probables avec un haut degré de confiance.

Les efforts très importants mis en œuvre pour réduire la fréquence de fusion du cœur grâce aux moyens DEC-A indépendants et diversifiés des moyens DBC peuvent en effet être suffisants pour que la fréquence des séquences de fusion du cœur consécutives à leur défaillance soit déjà inférieure à celle visée pour la prévention des rejets importants ou précoces. Dans de tels cas, la valorisation de moyens DEC-B n’est pas nécessaire au respect des objectifs de sûreté. Ces moyens, introduits au titre de la défense en profondeur (approche déterministe), n’ont donc pas à être indépendants des moyens DEC-A.

Par ailleurs, nous considérons que les exigences d’indépendance ne peuvent être émises dans l’absolu sans considérer le type ou la fiabilité de l’équipement partagé. Par exemple, les équipements de fiabilité élevée comme les équipements passifs (par exemple, tuyauteries, ..) pourraient, sous réserve de justifications appropriées, être partagés entre plusieurs lignes de défense.

Ainsi, nous proposons que l’article 4.1.2.5 préconise une indépendance des moyens DEC-B autant que nécessaire et non autant que raisonnablement possible par rapport aux moyens DEC-A.

Proposition de modification:

Les systèmes IP accomplissant des fonctions de sûreté radiologiques lors des conditions DEC-B sont indépendants

–    autant que raisonnablement possible, des systèmes utilisés lors du fonctionnement normal du réacteur, ainsi que des systèmes intervenant dans les conditions de fonctionnement de référence de catégories 2 à 4,

–    autant que nécessaire pour le respect des objectifs de sûreté mentionnés à l’article 2.1.2.3 des systèmes utilisés dans les conditions DEC-A.

A cet égard, une attention particulière est apportée à la conception des systèmes assurant une fonction support.

L’indépendance entre systèmes IP est considérée comme raisonnablement possible, si la mise en oeuvre des dispositions correspondantes ne nécessite pas des efforts disproportionnés par rapport au bénéfice escompté²². Ceci s’apprécie sur la base de considérations déterministes complétées lorsque pertinent par des considérations probabilistes.

²² À titre d’exemple, il n’est pas considéré comme raisonnablement possible que l’enceinte de confinement, ses traversées et leurs organes d’isolement intervenant dans les conditions DEC-B soient indépendants de ceux intervenant dans les conditions de fonctionnement de référence de catégories 2 à 4 et les conditions DEC-A.

Commentaire conjoint EDF/AREVA NP

Commentaire éditorial mineur

Nous proposons de préciser la note de bas de page 21 en cohérence avec l’annexe 2.

Proposition de modification:

²¹  Dans le présent guide, l’adoption d’un jeu de règles d’études commun pour l’ensemble des conditions de fonctionnement de référence de catégories 2 à 4, en particulier en termes de classement de sûreté des EIP considérés ou de la démonstration d’atteinte d’un état sûr, conduit à associer la démonstration de sûreté pour les incidents du domaine de conception de référence (conditions de catégorie 2 ou DBC2) au niveau 3 de la défense en profondeur plutôt qu’au niveau 2. Ceci est à considérer dans l’appréciation de l’indépendance entre les EIP participant au niveau 2 de la défense en profondeur et ceux participant au niveau 3.